La faille de sécurité dans le contrat de bibliothèque par défaut de LayerZero a suscité de vives discussions dans la communauté aujourd'hui. Les chercheurs ont souligné que ce contrat présente une vulnérabilité fatale : LayerZero Labs peut effectuer une mise à jour instantanée sans verrouillage temporel, permettant de falsifier des messages inter-chaînes — ce qui est à l'origine de l'attaque rsETH précédente.

Plus de 3 milliards de dollars d'OFT ont été exposés au risque, et environ 178 millions de dollars de valeur sont encore vulnérables. Ce qui est encore plus inquiétant, c'est que les signataires multi-sig de LayerZero Labs ont été signalés pour des activités non multi-sig, telles que des transactions de jetons Meme, des échanges sur DEX, etc., et les critiques affirment que leur gestion des clés privées est « comparable à celle d'un lycéen ».
Ce n'est pas seulement un bug technique. Cela révèle un problème de confiance fondamental dans l'infrastructure inter-chaînes : lorsque les utilisateurs comptent sur des messages inter-chaînes « immuables », le contrat sous-jacent peut être manipulé unilatéralement par le projet. La chaîne de confiance est passée du code à la gestion humaine du projet.
En réponse, des protocoles de premier plan comme Kelp DAO ont abandonné LayerZero et se sont tournés vers Chainlink CCIP. Cela marque une divergence dans la narration sur la sécurité inter-chaînes : passant du « pont inter-chaînes universel » à une « solution vérifiable de confiance minimale ».
Pour les utilisateurs, il faut être vigilant : tous les schémas inter-chaînes ne sont pas également sécurisés. Les ponts dépendant d'une gouvernance multi-sig d'un seul projet restent essentiellement des « hypothèses de confiance » plutôt que des « minimisations de confiance ». Lors de l'interaction avec des actifs inter-chaînes, il faut privilégier les solutions ayant été auditées et offrant un degré de décentralisation plus élevé.
$zro #link #dex